DPO esterno con più clienti: seguire il GDPR di tutti senza affondare

Per chi è

Per chi è questa guida: DPO esterni e consulenti

La scena · lunedì, 9:05

Quattordici clienti, quattordici modi di organizzarsi

Modello gratuito: il Kit del DPO con più clienti trasforma questa guida in un foglio di calcolo pronto all’uso.

Passo 1

Cosa permette, e cosa chiede, la legge a un DPO con più clienti

Il GDPR lo dice chiaramente: il DPO può essere un dipendente dell’organizzazione oppure assolvere i suoi compiti «in base a un contratto di servizi». In Italia il Garante per la protezione dei dati personali lo conferma nelle sue FAQ sul responsabile della protezione dei dati (RPD o DPO) in ambito privato: il DPO può essere interno o esterno, persona fisica o persona giuridica, e più organizzazioni possono condividerlo. Non servono attestati formali né l’iscrizione a un albo. Le certificazioni volontarie possono aiutare a dimostrare le competenze, ma non equivalgono a un’abilitazione. In Portogallo, dove lavora Inês, la legge 58/2019 aggiunge che il DPO agisce con autonomia tecnica, qualunque sia il rapporto giuridico, e non ha bisogno di una certificazione professionale.

Art. 37, paragrafo 6, del GDPR; Garante, FAQ sull’RPD in ambito privato; legge 58/2019, art. 9

Essere esterni non cambia gli obblighi di chi vi incarica. Ogni cliente deve sempre:

• coinvolgervi, tempestivamente e adeguatamente, in tutte le questioni di protezione dei dati;
• fornirvi le risorse necessarie, compreso l’accesso ai dati personali e ai trattamenti;
• non darvi istruzioni sull’esecuzione dei vostri compiti, e permettervi di riferire direttamente al vertice gerarchico;
• pubblicare i vostri dati di contatto e comunicarli all’autorità di controllo. In Italia la comunicazione al Garante si fa online, con la sua procedura telematica, e ogni organizzazione la fa per conto suo. In Portogallo si comunica alla CNPD (l’autorità portoghese per la protezione dei dati), con il suo modulo.

Art. 37, paragrafo 7, e art. 38, paragrafi da 1 a 3, del GDPR; CNPD, Encarregado de proteção de dados (in portoghese)

Dal vostro lato, tre regole pesano di più quando i clienti sono tanti. Siete tenuti al segreto o alla riservatezza, che continua dopo la fine dell’incarico. Potete svolgere altri compiti, purché non diano luogo a un conflitto di interessi. E dovete considerare debitamente i rischi inerenti al trattamento, il che in pratica significa dare la priorità a ciò che è più rischioso, senza trascurare il resto.

Art. 38, paragrafi 5 e 6, e art. 39, paragrafo 2, del GDPR

Il GDPR vi protegge anche: non potete essere rimossi né penalizzati per l’adempimento dei vostri compiti (art. 38, paragrafo 3). E gli interessati possono contattarvi direttamente per tutte le questioni relative al trattamento dei loro dati e all’esercizio dei loro diritti (art. 38, paragrafo 4). Questo conta per lo smistamento: quei messaggi arrivano spesso con un termine che sta già correndo. In Portogallo, la legge 58/2019 affida inoltre al DPO gli audit, la sensibilizzazione per individuare gli incidenti e il rapporto con gli interessati (art. 11).

Legge 58/2019, art. 11 (Diário da República, in portoghese)

Se lavorate in team, le linee guida europee sui DPO ammettono che un gruppo di persone svolga la funzione, ma raccomandano una regola semplice: una persona indicata come contatto principale e responsabile per ogni cliente. Per il cliente non dovrebbe mai essere «il team».

Linee guida WP243 sui responsabili della protezione dei dati, sezione 2.5 (fatte proprie dal Comitato europeo per la protezione dei dati, EDPB)

Passo 2

Cosa hanno trovato le autorità

Nel 2023, 25 autorità europee, tra cui il Garante, hanno condotto un’azione coordinata sulla designazione e sulla posizione dei DPO. La relazione dell’EDPB, pubblicata a gennaio 2024, descrive la quotidianità di chi legge questa guida.

Fonte: EDPB, relazione sull’azione coordinata 2023 sulla designazione e sulla posizione dei DPO (valori mediani tra le autorità).

Due conclusioni riguardano direttamente il DPO esterno. Diverse autorità hanno avvertito che un DPO che lavora per molti clienti rischia di «disperdersi troppo». E l’EDPB raccomanda che, quando incarica un DPO esterno, l’organizzazione verifichi quanti clienti segue, per assicurarsi che abbia tempo e capacità sufficienti. Raccomanda anche che compiti e condizioni siano scritti in una lettera di incarico.

EDPB, relazione sull’azione coordinata 2023 sulla designazione e sulla posizione dei DPO, sezioni da 4.2 a 4.6 (in inglese)

Passo 3

Dove finisce il vostro ruolo

Più un cliente si fida di voi, più è forte la tentazione di decidere al suo posto. È lì che l’indipendenza si perde, quasi sempre per buona volontà.

Le linee guida europee sono dirette: è il titolare del trattamento, non il DPO, a svolgere la valutazione d’impatto quando è necessaria. Il DPO consiglia se farla, quale metodo seguire e se le conclusioni sono conformi al GDPR.

Art. 35, paragrafo 2, e art. 39, paragrafo 1, lettera c, del GDPR; WP243, sezione 4.2

Sui conflitti di interessi, la Corte di giustizia dell’Unione europea (CGUE) ha stabilito nella causa X-FAB che c’è conflitto quando il DPO svolge altri compiti che lo portano a determinare le finalità e i mezzi del trattamento, e che va valutato caso per caso. Le linee guida europee danno un esempio che interessa i consulenti: c’è conflitto se si chiede al DPO esterno di rappresentare il cliente in giudizio in una causa di protezione dei dati.

CGUE, C-453/21, X-FAB Dresden; WP243, sezione 3.5

In pratica, tre abitudini vi proteggono:

• Date i vostri pareri per iscritto, anche brevi.
• Quando il cliente non segue il vostro parere, chiedetegli di registrare il perché. Le linee guida europee lo indicano come buona prassi, e la valutazione d’impatto deve motivare perché il parere non è stato seguito.
• Rifiutate i compiti che vi mettono dalla parte di chi decide, come approvare campagne, scegliere fornitori o firmare a nome del cliente.

WP243, sezioni 3.1 e 4.2; art. 38, paragrafo 6, del GDPR

Passo 4

Classificate i clienti per rischio, non per compenso

Il cliente che paga di più non è per forza quello che ha più bisogno di attenzione. Il GDPR chiede al DPO di considerare i rischi inerenti al trattamento, ed è questo che fissa la frequenza di contatto con ciascuno. Un modello semplice, con sei criteri valutati da 0 a 2:

Modello di lavoro proposto da Pulsaiq, basato sull’art. 39, paragrafo 2, del GDPR. Non è un criterio di legge: adattatelo al vostro portafoglio di clienti.

Ore al mese come punto di partenza.

Rivedete la classificazione una volta l’anno e ogni volta che si verifica un evento dell’ultimo criterio.

Passo 5

Lo stesso kit di ingresso per tutti i clienti

Il tempo si perde soprattutto cambiando contesto: ogni cliente si organizza a modo suo. Risolvetelo dal primo giorno, con quattro elementi.

Passo 6

Il calendario annuale

Con lo stesso calendario per tutti, il lavoro ricorrente smette di dipendere dalla memoria. Ogni cliente ha questi compiti negli stessi mesi; il livello di rischio fissa solo la frequenza delle revisioni e delle riunioni.

1. GennaioRelazione annuale alla direzione
2. Febbraio—
3. MarzoRevisione del registro delle attività
4. AprileFormazione e sensibilizzazione
5. MaggioRevisione dei responsabili del trattamento (art. 28)
6. GiugnoRevisione del registro · solo A
7. LuglioAudit interno
8. AgostoVuoto di proposito
9. SettembreRevisione del registro · A e BRevisione della classificazione per rischio
10. OttobreFormazione e sensibilizzazione
11. NovembreEsercitazione su un data breach
12. DicembreRevisione del registro · solo A

Proposta di Pulsaiq; la legge non fissa queste date.

Agosto resta vuoto di proposito. Gli incidenti non vanno in ferie, ma i vostri clienti sì, e le riunioni di quel mese raramente si fanno.

Passo 7

Lo smistamento: quando arriva tutto insieme

Torniamo al lunedì di Inês. L’ordine non dipende da chi grida più forte, ma dall’orologio che corre.

1. 1

   Possibili violazioni dei dati

   72 ore

   Il titolare ha 72 ore, da quando ne è venuto a conoscenza, per notificare l’autorità di controllo (il Garante in Italia, la CNPD in Portogallo), a meno che sia improbabile che la violazione presenti un rischio. L’orologio è del cliente e sta già correndo. Se il cliente è responsabile del trattamento, deve informare il titolare senza ingiustificato ritardo. E ogni violazione va documentata, anche quelle che non si notificano.

   Art. 33, paragrafi 1, 2 e 5, del GDPR · vedete la guida Data breach: cosa fare nelle prime 72 ore
2. 2

   Richieste degli interessati

   1 mese

   Un mese dal ricevimento, prorogabile di altri due se la richiesta è complessa o le richieste sono molte, purché si informi l’interessato entro il primo mese. La richiesta di nove giorni fa che ha Inês ha già consumato quasi un terzo del termine.

   Art. 12, paragrafo 3, del GDPR · vedete la guida Diritto di accesso e diritto alla cancellazione
3. 3

   Scadenze fissate dal cliente o dall’autorità

   Data fissa

   Richieste di informazioni dell’autorità di controllo, seguiti di un’ispezione del Garante, reclami trasmessi dall’autorità, riunioni della direzione, lanci di prodotti.

4. 4

   Tutto il resto

   In calendario

   Va in calendario, con una data, invece di restare nella casella di posta.

Passo 8

Un registro delle prove che dimostra il lavoro

Il principio di responsabilizzazione obbliga il cliente a rispettare il GDPR e a poterlo dimostrare. Gran parte di questa dimostrazione poggia sul vostro lavoro: pareri, formazione, revisioni. Se non è scritto, in caso di ispezione è come se non fosse mai successo.

Art. 5, paragrafo 2, e art. 24 del GDPR

Basta una riga per intervento, in un unico registro per tutti i clienti:

Esempi fittizi. Nella pratica, aggiungete una colonna con il link al documento nella cartella 09 del cliente.

Passo 9

Fogli di calcolo o software?

Tutto ciò che descrive questa guida funziona con fogli di calcolo e una buona struttura di cartelle. Per molti DPO con pochi clienti, basta. I problemi arrivano con la scala, e quasi sempre negli stessi punti:

Qualunque sia la vostra scelta, il metodo viene prima. Uno strumento non sistema un portafoglio senza classificazione per rischio né un cliente che non segnala i suoi incidenti.

Aggiornato il 21 ottobre 2026

Cosa potrebbe cambiare

Due proposte dell’UE in corso modificano il GDPR. Nessuna tocca il cuore di questa guida: i compiti e la posizione del DPO. Ma cambiano il lavoro che fate per i clienti.

• Registro delle attività di trattamento (Omnibus IV). La Commissione ha proposto di estendere l’esenzione dal registro alle organizzazioni con meno di 750 dipendenti. Nell’accordo provvisorio del 26 giugno 2026, Consiglio e Parlamento hanno alzato la soglia a meno di 1.000 persone, mantenendo il registro obbligatorio per le attività ad alto rischio, per quelle che richiedono un DPO e per gli enti pubblici. Il voto in plenaria è previsto il 23 novembre 2026. Alcuni clienti di livello C potrebbero non essere più tenuti al registro, ma dovranno comunque conoscere i loro dati per rispondere alle richieste e dimostrare la conformità.
• Violazioni e richieste (Digital Omnibus). La proposta di novembre 2025 farebbe notificare all’autorità solo le violazioni a rischio elevato, porterebbe il termine a 96 ore, creerebbe un punto di accesso unico dell’UE per le notifiche e chiarirebbe quando una richiesta di accesso è abusiva. Prevede anche elenchi comuni dell’UE dei trattamenti che richiedono, o non richiedono, una valutazione d’impatto. L’EDPB e il Garante europeo della protezione dei dati (GEPD) sostengono diverse di queste misure, con riserve. Gli ambasciatori degli Stati membri discutevano il mandato negoziale del Consiglio il 21 ottobre 2026.

Finché le nuove regole non sono pubblicate nella Gazzetta ufficiale e applicabili, valgono le regole attuali: 72 ore, notifica ogni volta che c’è un rischio, e il registro con l’esenzione attuale dell’art. 30, paragrafo 5.

Spieghiamo cosa cambia il Digital Omnibus per i data breach e le richieste di accesso nel nostro articolo sul Digital Omnibus.

Procedura 2025/0130(COD); COM(2025) 837; parere congiunto EDPB-GEPD 2/2026; ordine del giorno del Coreper, 21 ott 2026

Da stampare

Checklist del DPO esterno con più clienti

Domande ricorrenti

Domande frequenti

Quanti clienti può avere un DPO esterno?

La legge non fissa un massimo, e nemmeno la relazione dell’EDPB. Ci si aspetta che possiate dimostrare di avere tempo e mezzi per ogni cliente, e l’EDPB raccomanda alle organizzazioni di verificarlo prima di incaricarvi. Il foglio Capacità del kit del DPO con più clienti fa questo calcolo per voi.

Un DPO esterno può svolgere la valutazione d’impatto del cliente?

Non dovrebbe. La valutazione d’impatto spetta al titolare del trattamento (art. 35, paragrafo 2). Il DPO consiglia se è necessaria, quale metodo seguire e se le conclusioni sono conformi al GDPR (art. 39, paragrafo 1, lettera c). Può fornire il modello, ma la decisione viene registrata come decisione del cliente.

In Italia un DPO deve essere certificato?

No, non è obbligatorio. Il Garante chiarisce che non servono attestati formali né l’iscrizione a un albo, e che le certificazioni volontarie non equivalgono a un’abilitazione. Ciò che chiede il GDPR è che il DPO sia designato in funzione delle qualità professionali e, in particolare, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati (art. 37, paragrafo 5).

Chi comunica al Garante i dati del DPO?

Ogni cliente, per conto suo. L’organizzazione che designa il DPO pubblica i suoi dati di contatto e li comunica all’autorità di controllo (art. 37, paragrafo 7). In Italia si fa online, con la procedura telematica del Garante. La lettera di incarico deve dire chi se ne occupa e quando.

E se il cliente non segue il parere del DPO?

Chiedete che il motivo venga registrato. Il parere scritto e la decisione del cliente vanno nel registro delle prove, e una valutazione d’impatto deve motivare perché il parere non è stato seguito. Così la decisione resta nelle mani di chi l’ha presa, e il vostro lavoro è documentato.

Solo fonti ufficiali

Fonti

Legislazione e giurisprudenza

• Regolamento (UE) 2016/679 (GDPR), artt. 5, 12, 24, 33, 35 e da 37 a 39 (EUR-Lex)
• Legge portoghese n. 58/2019 dell’8 agosto 2019, artt. da 9 a 11 (Diário da República, in portoghese)
• CGUE, sentenza del 9 febbraio 2023, C-453/21, X-FAB Dresden

EDPB e autorità nazionali

• Garante, FAQ sul responsabile della protezione dei dati (RPD) in ambito privato
• Garante, FAQ sulla procedura telematica per la comunicazione dei dati dell’RPD
• EDPB, azione coordinata 2023: designazione e posizione dei DPO (gennaio 2024, in inglese)
• CNPD (Portogallo), Encarregado de proteção de dados (in portoghese)

Cambiamenti in corso

• Parlamento europeo, procedura 2025/0130(COD) (Omnibus IV)
• COM(2025) 837, proposta Digital Omnibus
• Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus (in inglese)
• Consiglio dell’UE, ordine del giorno del Coreper del 21 ottobre 2026 (in inglese)

Ultima revisione: 21 ottobre 2026. Rivediamo questa guida ogni volta che cambiano la legge o gli orientamenti delle autorità.

Questa guida è un’informazione generale e non sostituisce una consulenza legale su un caso specifico. Le persone, le aziende e le situazioni delle scene sono fittizie.